フィッシング攻撃、設定ミス、ソーシャルエンジニアリングは、サイバー攻撃でよく使われる最も一般的な手法です。攻撃者は、フィッシングやソーシャルエンジニアリングを通じて人間の脆弱性を悪用すると同時に、設定ミスなどの技術的な欠陥も悪用します。これらの攻撃手法は、現代のサイバー侵害の大きな割合を占めています。
参考: https://www.eccouncil.org/what-is-social-engineering/

ベンダーアクセスのベストプラクティス:
EC-Council CISO フレームワークは、不正アクセス、データ侵害、または不正使用のリスクを軽減するために、サードパーティベンダーの安全で制御されたアクセスを重視しています。
オプションCの主な理由:
* 会社支給のラップトップ: 社内のセキュリティ ポリシーへの準拠を確保し、管理されていないデバイスに関連するリスクを回避します。
* 2 要素認証 (2FA): 不正アクセスを防ぐために重要なセキュリティ層を追加します。
* 固有の認証情報: 説明責任を確保し、ベンダーの活動を追跡できるようにすることで、認証情報の共有によるリスクを軽減します。
他の選択肢はなぜないのか:
* オプション A: 資格情報を共有すると、説明責任の問題が発生し、セキュリティ上のリスクが生じます。
* オプション B: 2FA が使用されている場合でも、共有された資格情報には依然としてリスクが残ります。
* オプション D: ベンダー独自のラップトップでは、検証されていないデバイス構成によるリスクが生じます。
EC評議会CISOの重点:
このアプローチは、サードパーティのリスク管理におけるベストプラクティスと一致しており、ベンダーのアクセスが安全で追跡可能であり、コンプライアンスに準拠していることを保証します。

リスク許容度を理解する:
* セキュリティ上の懸念があるにもかかわらず、機能が限定された安価なファイアウォールを選択することは、より高いリスクを受け入れる意思を示しています。これは、リスク許容度の高い環境を反映しています。
決定の意味:
* リスク許容度の高いアプローチでは、堅牢なセキュリティ対策よりもコスト削減が優先されるため、脅威にさらされる可能性が高くなります。
参考文献:
* CCISO の資料では、セキュリティ投資に関する決定が組織のリスク許容度を反映し、セキュリティのニーズと財務上の制約のバランスをとる方法について説明しています。